PHP：从另一个函数获取变量实现AES-256密码加密异常问题

嘿，我看了你的代码，核心问题是**Encryption函数没有返回获取到的密钥和加密方法**，而且你错误地依赖了global变量传递值，导致Register方法根本拿不到正确的加密配置，最终加密失效。下面是具体的修复步骤：

1. 重构Encryption函数，让它返回配置值 #

原来的函数只是在循环里给变量赋值，但没有把这些值传递出去，而且在类里用global非常不规范，很容易出问题。我们直接让它返回包含密钥和加密方法的数组，查询不到时返回false：

public function Encryption() {
    try {
        $db = DB();
        $query = $db->prepare("SELECT * FROM encryption");
        $query->execute();
        
        // 加密配置一般只有一条记录，不用while循环
        if ($row = $query->fetch(PDO::FETCH_ASSOC)) {
            return [
                'password' => $row["password"],
                'method' => $row["method"]
            ];
        } else {
            return false;
        }
    } catch (PDOException $e) {
        exit($e->getMessage());
    }
}

2. 在Register方法中正确调用加密配置 #

现在我们通过类内方法调用拿到加密配置，再进行加密操作，彻底抛弃不可靠的global变量：

public function Register($u_name, $u_email, $u_pass) {
    try {
        // 先获取加密配置，拿不到就终止执行
        $encryptionConfig = $this->Encryption();
        if (!$encryptionConfig) {
            exit("Failed to load encryption configuration");
        }
        $password = $encryptionConfig['password'];
        $method = $encryptionConfig['method'];
        
        // 处理密钥：确保是AES-256要求的32字节长度
        $password = substr(hash('sha256', $password, true), 0, 32);
        // 注意：这里用全0的IV非常不安全！建议生成随机IV并和密文一起存储
        $iv = chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0) . chr(0x0);
        $encrypted = base64_encode(openssl_encrypt($u_pass, $method, $password, OPENSSL_RAW_DATA, $iv));
        
        $db = DB();
        $query = $db->prepare("INSERT INTO users(u_fname, u_lname, u_name, u_email, u_pass, u_rank) VALUES ('','',:username,:email,:password,'1')");
        $query->bindParam("username", $u_name, PDO::PARAM_STR);
        $query->bindParam("email", $u_email, PDO::PARAM_STR);
        $query->bindParam("password", $encrypted, PDO::PARAM_STR);
        $query->execute();
        
        return $db->lastInsertId();
    } catch (PDOException $e) {
        exit($e->getMessage());
    }
}

3. 额外的安全提醒 #

• 不要用全0的IV：AES加密要求IV必须随机且唯一，每次加密都要生成新的IV，然后把IV和密文一起存储（比如拼接成字符串或者单独存字段），解密时再取出使用，全0 IV会严重降低加密安全性。
• 避免使用global：全局变量会让代码耦合度变高，难以维护和调试，用类方法返回值的方式更清晰可靠。
• 密钥存储风险：把加密密钥明文存在数据库里不安全，如果数据库被攻破，密钥也会泄露，建议改用环境变量或者专门的密钥管理工具存储密钥。

内容的提问来源于stack exchange，提问作者D4rkw0lv3s